mstsc Command: Comandos, Atalhos e Configurações de Arquivo .rdp

MSTSC, RDP, RDS e TermService são coisas diferentes

Os termos estão relacionados, mas descrevem partes diferentes de uma implementação de acesso remoto. Confundi-los pode enviar a resolução de problemas na direção errada, especialmente quando alguém procura por um "serviço MSTSC" ou assume que um interruptor MSTSC altera o servidor.

Termo	O que é	Onde é executado
mstsc.exe	cliente clássico de Conexão de Área de Trabalho Remota da Microsoft	O dispositivo cliente do Windows
RDP	O Protocolo de Área de Trabalho Remota que transporta exibição, entrada e recursos redirecionados	Entre o cliente e o sistema remoto
RDS	Serviços de Área de Trabalho Remota, funções do Windows Server da Microsoft para sessões remotas, entrega de aplicações, gateways e serviços relacionados	Infraestrutura do Windows Server
Serviço de Terminal	O serviço de Serviços de Área de Trabalho Remota associado a conexões RDP do lado do servidor	O host do Windows

O que o mstsc.exe faz

documentos da Microsoft mstsc.exe como o cliente costumava se conectar a um servidor de Host de Sessão de Área de Trabalho Remota ou a outro computador remoto. Você pode abri-lo a partir do Executar, Prompt de Comando, PowerShell ou um atalho, com ou sem opções de linha de comando.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Os dois primeiros comandos abrem o cliente gráfico. mstsc /? exibe a sintaxe de comando do cliente instalado. Passar um arquivo de conexão abre o perfil armazenado nesse arquivo.

MSTSC é um cliente, não um protocolo ou serviço

Documentação do Protocolo de Área de Trabalho Remota da Microsoft descreve o RDP como o protocolo cliente-servidor. No host, o serviço que os administradores normalmente se referem como “serviço MSTSC” é Serviço de Terminal O serviço Redirecionador de Porta UserMode dos Serviços de Área de Trabalho Remota, UmRdpService , também pode aparecer durante o diagnóstico do lado do host.

O seguinte comando PowerShell verifica esses serviços em um host Windows. Ele não verifica um serviço MSTSC porque nenhum serviço desse tipo existe.

Get-Service TermService, UmRdpService

MSTSC é também um cliente de acesso remoto, não um fluxo de trabalho de helpdesk assistido. Se um técnico precisar visualizar ou controlar o dispositivo de um usuário para suporte, use software de suporte remoto desenhado para consentimento, fluxos de trabalho de técnicos e gestão de sessões.

Windows 10, Windows 11 e versões anteriores do Windows

A referência atual do comando MSTSC da Microsoft lista o Windows 10, Windows 11 e o Windows Server 2016 a 2025 entre as versões aplicáveis. O Windows 8 pode ainda aparecer em pesquisas históricas e ambientes mais antigos, mas não é um alvo de implantação atual na lista de aplicabilidade da Microsoft. Verifique mstsc /? no cliente atual porque o comportamento disponível também pode depender da sua versão do Windows e das políticas.

Referência de opções de linha de comando MSTSC

A tabela a seguir segue o contrato atual do comando MSTSC da Microsoft. Ela exclui intencionalmente opções não documentadas, incluindo /migrar , que não aparece na referência de comandos da Microsoft atual.

Alternar	Propósito	Importante restrição	Exemplo
	Abre um arquivo de conexão .rdp salvo	Caminhos de citação que contêm espaços	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Especifica o host remoto e a porta de ouvinte opcional	Seleciona um destino, mas não ativa o RDP nem altera a porta do host.	mstsc /v:server01
/g:	Especifica um Gateway RD	A Microsoft documenta como sendo lido quando /v fornece o destino	mstsc /v:server01 /g:gateway.example.com
/admin	Solicita uma sessão para administrar um servidor	Não concede direitos de administrador nem contorna a autenticação e a licenciamento.	mstsc /v:server01 /admin
/f ou /tela cheia	Inicia a sessão em modo de tela cheia	Use Ctrl+Alt+Break para alternar o modo de exibição durante uma sessão	mstsc /v:server01 /f
/w:	Define a largura inicial da janela	Normalmente emparelhado com /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Define a altura inicial da janela	Normalmente emparelhado com /w	mstsc /v:server01 /w:1920 /h:1080
/publico	Executa a Conexão de Área de Trabalho Remota em modo público	Previne o armazenamento em cache de senhas e bitmaps para a conexão, mas não é uma política de segurança completa para dispositivos compartilhados.	mstsc /v:server01 /public
/span	Estende uma área de trabalho remota por monitores locais compatíveis.	A Microsoft exige monitores alinhados horizontalmente com a mesma resolução.	mstsc /v:server01 /span
/multimon	Utiliza o arranjo do monitor do cliente na sessão remota	As capacidades e políticas de hospedagem ainda se aplicam	mstsc /v:server01 /multimon
/l	Lista de monitores locais e seus IDs	Use os IDs com a propriedade selectedmonitors	mstsc /l
/editar	Abre um arquivo de conexão salvo para edição	O caminho deve identificar um arquivo .rdp existente.	mstsc /edit "C:\Connections\Sales.rdp"
/restrictedAdmin	Usa o modo de Administrador Restrito para evitar o envio de credenciais reutilizáveis para o host remoto.	Implica /admin e pode afetar o acesso a outros recursos de rede a partir da sessão remota	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Usa o Windows Defender Remote Credential Guard	As solicitações de autenticação são redirecionadas para o cliente; aplicam-se requisitos de compatibilidade e política.	mstsc /v:server01 /remoteGuard
I'm ready to assist you with the translation. Please provide the text you would like to have translated.	Força um pedido de credenciais	Útil ao testar se as credenciais armazenadas estão causando um problema	mstsc /v:server01 /prompt
/shadow:	Sombras uma sessão RDS existente	Requer um ID de sessão válido, autorização e política de suporte	mstsc /shadow:3
/control	Controle de solicitações enquanto faz shadowing	Usado com /shadow	mstsc /shadow:3 /control
semConsentimentoPrompt	Solicitações de sombreamento sem pedir consentimento ao usuário da sessão	Requer autorização e suporte de política; usar apenas dentro de um processo administrativo auditado	mstsc /shadow:3 /control /noConsentPrompt
/?	Exibe a ajuda do comando	Útil para verificar a sintaxe disponível na versão do Windows instalada	mstsc /?

Interruptores que podem ser combinados

Comece com o destino, depois adicione apenas o comportamento que a conexão precisa. Comandos legíveis são mais fáceis de solucionar do que atalhos que contêm várias opções desnecessárias.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Estes exemplos usam nomes de servidores internos. Se uma conexão atravessar a internet, o ouvinte RDP do destino não deve ser publicado diretamente em um endereço público.

O que /admin não faz

/admin solicita uma sessão de servidor administrativa. Não torna a conta de conexão um administrador, não cria um direito adicional para conectar, não contorna a Autenticação de Nível de Rede nem ignora a política do host.

Limite de licenciamento: /admin , o shadowing, os comandos MSTSC e os arquivos salvos não removem as obrigações de licenciamento da Microsoft. A Microsoft afirma que São necessárias CALs RDS em ambientes RDS aplicáveis. O licenciamento do Windows Server, RDS CAL, Office e Microsoft 365 depende do sistema operativo, modelo de implementação, utilizadores ou dispositivos e uso da aplicação. Valide a sua configuração com a Microsoft ou um parceiro de licenciamento qualificado.

Administração Restrita e Guarda Remota

Administração Restrita e Guardião de Credenciais Remotas são modos de proteção de credenciais, não arquiteturas completas de segurança de acesso. A Microsoft os documenta como alternativas na sintaxe MSTSC, portanto, não especifique ambos para a mesma conexão.

Modo	Comportamento de credenciais	Consideração operacional
Administração Restrita	Evita transmitir credenciais reutilizáveis para o host remoto	Implica que o acesso /admin a partir da sessão remota pode falhar porque as credenciais do usuário não estão disponíveis lá.
Guarda de Credenciais Remotas	Redireciona pedidos de autenticação de volta para o cliente	Requer configuração compatível do Windows, domínio e política

Nenhum dos modos substitui a aplicação de patches, o princípio do menor privilégio, a autenticação multifator (MFA), a segmentação, os controles de bloqueio ou a monitorização. Teste a compatibilidade com os serviços que o administrador precisa acessar a partir da sessão remota.

Comandos MSTSC práticos para tarefas comuns

Iniciar uma sessão em tela cheia ou de tamanho fixo

Utilizar /f ou / tela cheia para tela cheia. Use /w e /h quando um tamanho de janela previsível é mais útil.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documenta uma gama de 200 a 8192 pixels para o correspondente largura do desktop e altura do desktop Propriedades RDP. Esse intervalo de propriedades documentadas não deve ser tratado como uma garantia de que cada resolução é prática em cada configuração de cliente, host ou monitor.

Abrir ou editar um arquivo RDP

Passar o caminho do arquivo abre a conexão. Adicionando /editar abre as suas definições na Conexão de Área de Trabalho Remota em vez de iniciar a sessão imediatamente.

mstsc "C:\Connections\Departamento de Contabilidade.rdp" mstsc /edit "C:\Connections\Departamento de Contabilidade.rdp"

Conectar através de um Gateway RD

O /v o valor identifica o destino, enquanto /g identifica o RD Gateway utilizado para alcançá-lo. Documentos da Microsoft /g ao ser lido quando /v também é fornecido.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Regra de acesso à Internet: Se o destino tiver de ser alcançado através da internet, utilize um gateway protegido, ponto de entrada HTTPS, proxy reverso ou caminho de acesso privado em vez de encaminhar o ouvinte RDP do destino. Um correto sintaticamente /g ou /v o comando prova apenas que o cliente tem instruções de conexão. Não prova que o caminho de acesso está projetado de forma segura.

Sombrear uma sessão existente

O sombreamento requer o ID de uma sessão existente. /control solicita interação com essa sessão, enquanto semConsentimentoPrompt solicitações para que o MSTSC não peça consentimento ao usuário da sessão.

mstsc /shadow:3 /control

Autorização, política, estado da sessão e auditoria ainda se aplicam. O sombreamento é uma capacidade administrativa do RDS, não um substituto para um produto de suporte remoto assistido com filas de técnicos, consentimento do usuário e registros de helpdesk.

Múltiplos monitores: /multimon, /span, /l e monitores selecionados

As quatro opções resolvem problemas diferentes. Escolha o modo antes de adicionar as configurações do monitor a um perfil reutilizável.

Opção	Comportamento	Requisito ou caso de uso
/multimon	Cria uma sessão remota ciente do monitor que segue a disposição local.	Utilize quando as aplicações devem reconhecer monitores remotos separados
/span	Cria uma área de trabalho oversized que abrange monitores.	Requer monitores alinhados horizontalmente com a mesma resolução
/l	Lista de IDs de monitor e geometria	Execute antes de selecionar um subconjunto de monitores
monitores selecionados:s:	Seleciona IDs de monitor específicos em um arquivo RDP	Requer modo de múltiplos monitores e um layout de monitor compatível

Use /multimon para uma sessão remota ciente do monitor

/multimon reproduz o arranjo do monitor do lado do cliente na sessão remota em vez de apresentar uma única superfície oversized. O ambiente remoto pode então tratar os ecrãs como monitores separados, sujeitos às capacidades e políticas do host.

mstsc /v:server01 /multimon

Use /span apenas para um layout horizontal compatível

/span não é um alias para /multimon A Microsoft exige que os monitores utilizem a mesma resolução e estejam alinhados horizontalmente. Se os ecrãs tiverem resoluções diferentes ou um desvio vertical, utilize o modo de múltiplos monitores.

Encontrar IDs de monitor e selecionar monitores específicos

Primeiro liste os IDs dos monitores que o MSTSC vê. Em seguida, coloque os IDs necessários em um arquivo RDP salvo.

mstsc /l

use multimon:i:1 selectedmonitors:s:0,2

A Microsoft documenta restrições adicionais de layout para monitores selecionados, incluindo a necessidade de que o conjunto escolhido forme uma disposição retangular válida. Teste o perfil na estação de trabalho pretendida, pois a numeração dos monitores pode mudar quando as exibições, docas ou configurações gráficas mudam.

Atalhos de teclado do Remote Desktop

Utilizar Ctrl+Alt+End enviar o equivalente remoto de Ctrl+Alt+Del O Windows intercepta Ctrl+Alt+Del localmente, razão pela qual o MSTSC utiliza uma combinação diferente para a sessão remota.

Combinação de teclas local	Ação remota	Limitação
Ctrl+Alt+End	Equivalente remoto de Ctrl+Alt+Del	Sessões aninhadas e RemoteApp podem alterar onde o comando é tratado.
Ctrl+Alt+Break	Alterna entre o modo de janela e o modo de tela cheia	Alguns teclados rotulam a tecla Pause ou requerem uma combinação Fn.
Alt+Page Up	Alterna aplicações remotas da esquerda para a direita	Contraparte remota do Alt+Tab
Alt+Page Down	Alterna aplicações remotas da direita para a esquerda	Contraparte remota para alternância reversa de aplicações
Alt+Início	Abre o menu Iniciar remoto	Aplica-se à sessão de área de trabalho remota
Ctrl+Alt+Mais	Copia uma imagem de toda a janela da sessão remota para a área de transferência	A Microsoft documenta a tecla de mais no teclado numérico
Ctrl+Alt+Menos	Copia uma imagem da janela remota ativa para a área de transferência	A Microsoft documenta a tecla de menos no teclado numérico
Ctrl+Alt+Home	Ativa a barra de conexão em modo de tela cheia	Relevante quando a barra de conexão está oculta

Comportamento do teclado em sessões em janela, em tela cheia, aninhadas e RemoteApp

O keyboardhook O controle de propriedades do RDP determina se as combinações de teclas do Windows se aplicam localmente, remotamente ou apenas à sessão remota em modo de tela cheia. Sessões aninhadas adicionam outro destino possível para um atalho, e o RemoteApp não reproduz todos os comportamentos de teclado de desktop completo.

Se uma combinação de teclas atingir o computador errado, primeiro teste uma única sessão não aninhada e revise. keyboardhook Não enfraqueça a autenticação ou as configurações de segurança do host para resolver um problema de roteamento de entrada.

Default.rdp e arquivos .rdp reutilizáveis

O MSTSC armazena preferências de cliente por utilizador lembradas em um arquivo oculto chamado Default.rdp Arquivos RDP nomeados separadamente podem ser salvos em outro lugar para destinos específicos, gateways, layouts de monitor e regras de redirecionamento.

%USERPROFILE%\Documents\Default.rdp

O que é o Default.rdp

documentos da Microsoft Default.rdp como um arquivo oculto criado ou atualizado pela Conexão de Área de Trabalho Remota na pasta Documentos do usuário. Isso afeta as preferências do cliente desse usuário. Renomeá-lo ou redefini-lo não ativa a Área de Trabalho Remota, não altera um ouvinte nem modifica a política no host remoto.

Para testar se as configurações de cliente desatualizadas estão envolvidas:

1. Feche todas as janelas de Conexão de Área de Trabalho Remota.
2. Fazer backup ou renomear Default.rdp .
3. Abra o MSTSC novamente para que ele possa recriar as preferências do cliente lembradas.
4. Reteste a conexão antes de copiar as configurações antigas para o novo arquivo.

Sintaxe do arquivo RDP

Um arquivo RDP é uma configuração baseada em texto. Uma linha típica segue propriedade:tipo:valor , onde i identifica um inteiro e s identifica uma string.

endereço completo:s:server01.internal  
id do modo de tela:i:2  
usar multimon:i:1  
redirecionar área de transferência:i:1  

Não assuma que todas as propriedades documentadas pela Microsoft funcionam de forma idêntica com cada PC remoto, RDS, Azure Virtual Desktop ou conexão TSplus. A página de propriedades RDP suportadas pela Microsoft abrange vários produtos RDP e atribui aplicabilidade por propriedade. A versão do cliente, o tipo de destino, a política do servidor e o método de conexão podem ser todos relevantes.

Como os switches, configurações de arquivos, escolhas de GUI e políticas interagem

A Microsoft não publica uma hierarquia de precedência universal que abranja todos os comandos, propriedades de arquivos RDP, configurações gráficas, Políticas de Grupo e políticas de host. Evite definir o mesmo comportamento de forma diferente em vários locais.

Testando regra: Quando um conflito deve ser investigado, use um perfil descartável e registre a versão do Windows, a versão do cliente, o tipo de destino e as políticas efetivas. Altere um valor de cada vez. Uma configuração do cliente não pode substituir uma política de host ou de coleção que proíbe o comportamento solicitado.

Referência de parâmetros de arquivo RDP

As tabelas abaixo cobrem propriedades que são especialmente úteis com o MSTSC. Os valores refletem a documentação de propriedades RDP suportadas pela Microsoft, mas os rótulos de aplicabilidade da Microsoft permanecem autoritários para cada produto de conexão. Uma propriedade sendo documentada para um produto RDP da Microsoft não estabelece compatibilidade com todos os outros alvos.

Destino, propriedades de identidade e autenticação

Propriedade e tipo	Valor aceito	Propósito	Nota de segurança ou aplicabilidade
endereço completo:s:	Nome ou endereço do host, opcionalmente com uma porta	Identifica o destino principal	Verifique a identidade antes de distribuir o arquivo
endereço completo alternativo:s:	Nome ou endereço do host alternativo	Fornece um endereço de conexão alternativo onde suportado	A aplicabilidade depende do produto RDP
nome de utilizador:s:	Nome de utilizador no formato de conta requerido	Preenche automaticamente o nome da conta	Não confunda um nome armazenado com armazenamento seguro de credenciais.
domínio:s:	Nome de domínio	Preenche automaticamente o domínio de autenticação	O formato da conta e o provedor de identidade ainda controlam o acesso.
prompt for credentials:i:	0 ou 1	Controla se o utilizador é solicitado a fornecer credenciais	A política ainda pode exigir um aviso.
promptcredentialonce:i:	0 ou 1	Controla se as credenciais do gateway e do destino são solicitadas uma vez, onde suportado.	Os métodos de autenticação de gateway e destino devem ser compatíveis
nível de autenticação:i:	0, 1 ou 2	Seleciona se a autenticação do servidor falhada é ignorada, bloqueia a conexão ou produz um aviso.	Use uma configuração rigorosa apropriada ao ambiente gerido; não suprimir avisos de identidade rotineiramente.
enablecredsspsupport:i:	0 ou 1	Controle de uso do Provedor de Suporte à Segurança de Credenciais onde aplicável	Alterá-lo afeta a autenticação e a compatibilidade com a Autenticação de Nível de Rede.
negociar camada de segurança:i:	0 ou 1	Controla a negociação da camada de segurança onde suportado	Não desative a negociação como um passo de resolução de problemas de rotina.

Arquivos reutilizáveis não devem conter senhas em texto simples incorporadas. Utilize armazenamento de credenciais e controles de autenticação aprovados em vez de distribuir segredos dentro de perfis de conexão.

Exibir e monitorar propriedades

Propriedade e tipo	Valor ou intervalo aceito	Propósito	Contraparte ou nota
modo de tela id:i:	1 em janela, 2 em tela cheia	Define o modo de exibição inicial	Relacionado a /f e /fullscreen
desktopwidth:i:	200 a 8192 pixels	Define a largura da área de trabalho remota	Relacionado a /w
desktopheight:i:	200 a 8192 pixels	Define a altura da área de trabalho remota	Relacionado a /h
sessão bpp:i:	15, 16, 24 ou 32	Define a profundidade de cor da sessão	O suporte e a política de hospedagem podem restringi-lo
use multimon:i:	0 ou 1	Ativa uma sessão de múltiplos monitores ciente do monitor	Relacionado a /multimon
monitores selecionados:s:	IDs de monitor separados por vírgula	Seleciona um subconjunto de monitores locais	Use mstsc /l para encontrar IDs; requer modo de múltiplos monitores
monitores de span:i:	0 ou 1	Estende uma área de trabalho por vários monitores	Relativo a /span; layout horizontal de mesma resolução necessário
dimensionamento inteligente	0 ou 1	Redimensiona o desktop remoto exibido para a janela do cliente	A escalabilidade não altera a resolução remota dinamicamente.
resolução dinâmica:i:	0 ou 1	Ajusta a resolução remota quando a janela do cliente muda de tamanho	O suporte depende do cliente e do alvo
desktopscalefactor:i:	percentagem de escalonamento documentada pela Microsoft	Define a escala da área de trabalho onde aplicável	Verifique a aplicabilidade do produto da propriedade antes da implementação
devicescalefactor:i:	valor de escala de dispositivo documentado pela Microsoft	Controla a escalabilidade relacionada ao dispositivo, quando aplicável.	Não é uma configuração MSTSC universal para todos os tipos de destino.

Redirecionamento de teclado, áudio e recursos locais

Propriedade e tipo	Valor aceito	Propósito	Consideração de política
keyboardhook:i:	0 local, 1 remoto, 2 remoto em tela cheia	Controles onde as combinações de teclas do Windows são aplicadas	As sessões aninhadas e RemoteApp podem comportar-se de maneira diferente
audiomodo:i:	0 jogar localmente, 1 jogar remotamente, 2 desativar	Controlos de reprodução de áudio	A política de host pode restringir a redireção de áudio.
audiocapturemode:i:	0 ou 1	Desativa ou ativa a redireção de captura do microfone	Ative apenas quando o fluxo de trabalho precisar.
redirectclipboard:i:	0 ou 1	Controlo da redireção da área de transferência	Pode mover dados em qualquer direção; a política do host pode bloqueá-los.
redirectprinters:i:	0 ou 1	Controlo de redirecionamento de impressora	Os requisitos de política de driver e host ainda se aplicam
redirectdrives:i:	0 ou 1	Controla o comportamento de redirecionamento de unidades amplas	Limitar o acesso quando os usuários não precisam de transferência de arquivos local
drivestoredirect:s:	Lista de unidades específica, * para todas, ou valor de unidade dinâmica suportada	Seleciona as unidades disponibilizadas remotamente	Use a lista mais restrita que suporta a tarefa
redirectcomports:i:	0 ou 1	Controles de redirecionamento de porta serial	A disponibilidade depende do cliente, do host e da política.
redirectsmartcards:i:	0 ou 1	Controles de redirecionamento de cartão inteligente	A arquitetura e a política de autenticação determinam se funciona.

Erro comum: Definindo uma propriedade de redirecionamento para 1 apenas solicita o recurso do lado do cliente. Não prova que o host, a coleção RDS ou a Política de Grupo o permite. As propriedades de dispositivo, USB e WebAuthn também têm aplicabilidade específica de conexão, portanto, verifique a página de propriedades da Microsoft atual antes de adicioná-las a um perfil organizacional.

Propriedades do gateway

Propriedade e tipo	Valor aceito	Propósito	Nota operacional
gatewayhostname:s:	Nome do host do gateway	Identifica o Gateway RD	O nome deve corresponder ao certificado do gateway
métododeusoportão:i:	Códigos documentados pela Microsoft de 0 a 4	Seleciona nenhum gateway, uso obrigatório, uso condicional ou comportamento padrão configurado	Utilize a interface do gateway MSTSC para gerar o valor pretendido sempre que possível
gatewaycredentialssource:i:	Códigos documentados para senha, cartão inteligente, seleção posterior ou autenticação web suportada	Seleciona a fonte de credenciais do gateway	A disponibilidade depende da configuração de autenticação do gateway.
gatewayprofileusagemethod:i:	0 ou 1	Controla se são utilizadas as configurações de perfil de gateway padrão ou explícitas.	Preserve os valores gerados pela GUI, a menos que a documentação de implantação especifique o contrário.
promptcredentialonce:i:	0 ou 1	Controle de reutilização de um prompt para autenticação de gateway e destino	Não mescla sistemas de identidade incompatíveis

Um perfil de gateway ainda deve identificar um destino interno. Adicionar um nome de host de gateway enquanto deixa o destino exposto como um ouvinte RDP público anula o propósito de usar o caminho de entrada protegido.

Propriedades de desempenho e experiência de conexão

Propriedade e tipo	Valor aceito	Propósito	Orientação
networkautodetect:i:	0 ou 1	Ativa a deteção automática de rede	Normalmente preferível a suposições fixas sobre a conexão
detecção automática de largura de banda:i:	0 ou 1	Ativa a deteção de largura de banda	Requer comportamento de detecção de rede compatível
tipo de conexão:i:	1 a 7	Classifica a conexão de baixa velocidade através de LAN ou deteção automática	A deteção automática torna o ajuste manual secundário em muitos ambientes.
compressão:i:	0 ou 1	Controlo da compressão de dados RDP	Não desative com base em conselhos de ajuste obsoletos
desativar papel de parede:i:	0 ou 1	Controla se o papel de parede da área de trabalho é suprimido	Pode reduzir dados visuais desnecessários
permitir suavização de fonte:i:	0 ou 1	Controles de suavização de fonte	Equilibra a aparência do texto e o custo de conexão
permitir composição de área de trabalho:i:	0 ou 1	Controla a composição da área de trabalho onde suportado	A aplicabilidade depende do cliente e do alvo

Propriedades do RemoteApp

Um arquivo RDP pode solicitar uma aplicação publicada individualmente, mas o arquivo não pode publicar essa aplicação por si só. O ambiente do lado do servidor deve publicar o programa e autorizar o usuário.

Propriedade e tipo	Valor aceito	Propósito	Requisito
modo de aplicação remota:i:	0 ou 1	Ativa o modo RemoteApp	Um ambiente de publicação compatível é necessário
programa de aplicação remota:s:	Identificador de aplicação publicada	Identifica o programa a iniciar	Deve corresponder a uma aplicação publicada no servidor
nome da aplicação remota:s:	Nome de exibição	Fornece o nome da aplicação mostrado ao utilizador	Não concede acesso
linha de comando da aplicação remota:s:	Parâmetros de linha de comando suportados	Passes argumentos permitidos para a aplicação	A política do servidor e a configuração da aplicação podem restringir argumentos

Trate os arquivos .rdp como configuração, não como atalhos inofensivos.

Um arquivo RDP pode direcionar os usuários para um destino, solicitar o comportamento do gateway e habilitar caminhos de transferência, como a área de transferência, unidades, impressoras ou cartões inteligentes. Isso torna a configuração operacional com consequências de segurança, não apenas um ícone de área de trabalho.

• Verifique o destino e o gateway antes de aprovar um arquivo.
• Rever configurações relacionadas a área de transferência, unidade, impressora, cartão inteligente, áudio e credenciais.
• Assine arquivos organizacionais quando o ambiente exigir validação do editor.
• Utilize a Política de Grupo para definir como os arquivos não assinados, assinados e não confiáveis são tratados.

Arquivos assinados e editores confiáveis

Orientações de segurança do arquivo RDP da Microsoft , datado de 14 de julho de 2026, descreve três áreas de Política de Grupo que controlam como a Conexão de Área de Trabalho Remota lida com arquivos RDP: regras para arquivos não assinados, regras para arquivos assinados e a lista de editores explicitamente confiáveis. A orientação também abrange impressões digitais de certificados SHA-2 e alterações no diálogo de segurança introduzidas em 2026.

A posição da Microsoft para ambientes de alta segurança é que os usuários podem ser limitados a arquivos RDP assinados por editores explicitamente confiáveis, com outros arquivos bloqueados.

A política exata deve corresponder ao nível de risco da organização, em vez de depender de cada usuário para interpretar um aviso corretamente.

Portas, portas personalizadas e encaminhamento de portas

A porta em um comando MSTSC informa ao cliente onde se conectar. Não altera a configuração do ouvinte do servidor, firewall, certificado, gateway ou tradução de endereço de rede.

Porto e transporte	Função	Contexto de conexão
TCP e UDP 3389	Porta RDP direta padrão	Cliente para hospedar, comumente em uma rede interna ou protegida
TCP 443	Tráfego HTTPS externo para o RD Gateway	Cliente para o gateway
UDP 3391	RDP sobre UDP através do RD Gateway	Cliente para o gateway onde habilitado

Estes Portas RDP vem de Referência de porta RDS da Microsoft de fevereiro de 2026 . Eles são fatos de rede, não uma recomendação para expor TCP ou UDP 3389 publicamente.

Conectar a uma porta não padrão

Anexe a porta ao destino após dois pontos. Isso funciona apenas quando o host já está ouvindo nessa porta e o caminho de rede protegido o permite.

mstsc /v:server01.internal:3390

MSTSC não pode alterar a porta de escuta do host.

Alterar o ouvinte é uma operação coordenada do lado do host que envolve a configuração do Windows, Serviços de Área de Trabalho Remota, regras de firewall e quaisquer controles de rede a montante. A Microsoft afirma que o RDS pode usar outra porta, mas não recomenda alterar a porta. como a abordagem normal.

Uma porta personalizada pode reduzir o ruído automatizado, mas não é um controle de segurança por si só. Use um guia de alteração de porta dedicado se precisar alterar o ouvinte e planeje a validação e o rollback em vez de tratar o comando do cliente como o procedimento de alteração.

Não encaminhe uma porta RDP bruta para a internet pública.

Regra de decisão: Se o acesso for interno ou já estiver protegido por uma rede privada, conecte-se ao host interno e ao ouvinte. Se o acesso atravessar a internet, use HTTPS, um RD Gateway, um proxy reverso ou outro ponto de entrada protegido com MFA e controles de acesso. Não publique a porta 3389, ou uma porta de ouvinte RDP personalizada, diretamente na internet.

O RDP não é inseguro por design. O risco aumenta quando um ouvinte RDP é exposto publicamente, as credenciais são fracas ou reutilizadas, os sistemas não estão atualizados e as tentativas de acesso não são monitoradas. CISA, o FBI e a Direção de Sinais da Austrália aconselharam na sua atualização BianLian de 20 de novembro de 2024, que as organizações limitem estritamente o RDP, fechem portas não utilizadas, imponham bloqueios, utilizem MFA resistente a phishing e registrem tentativas de acesso.

MSTSC não está a funcionar: isolar a camada com falha

Uma conexão MSTSC falhada pode originar-se no perfil do cliente, DNS, caminho de rede, ouvinte do host, autenticação, autorização, configuração do gateway ou configuração de exibição. Teste essas camadas em vez de enfraquecer as configurações de segurança até que o erro mude.

1. Confirme o cliente e o perfil

Executar mstsc /? para confirmar que o cliente é iniciado e para inspecionar sua sintaxe disponível. Teste o destino sem o arquivo RDP salvo. Se a conexão limpa funcionar, compare o arquivo com um perfil recém-criado ou teste com um reset. Default.rdp .

2. Confirme a acessibilidade do DNS e da porta

Resolva o nome de destino e, em seguida, teste a porta do listener a partir da rede do cliente. Use o host interno real e a porta configurada.

Resolve-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Uma falha na pesquisa DNS é diferente de um host resolvido com uma porta bloqueada. Um teste de porta bem-sucedido apenas prova a acessibilidade básica. Não prova que a conta está autorizada ou que a autenticação será bem-sucedida.

3. Verifique o serviço de host e o ouvinte

No host, confirme que o Acesso Remoto está ativado e inspecione os serviços relevantes. A documentação de resolução de problemas da Microsoft identifica Serviço de Terminal e UmRdpService como componentes do lado do host para verificar.

Get-Service TermService, UmRdpService

O estado do ouvinte, conflitos de porta, regras de firewall e configuração do host não são controlados pelo cliente MSTSC. Investigue esses itens no host ou através do processo de gestão de servidor aplicável.

4. Verifique a identidade, autorização, NLA e política

Um ouvinte acessível ainda pode rejeitar uma conexão. Verifique o formato da conta, o estado da senha, o bloqueio da conta, os direitos de entrada no Remote Desktop, a filiação ao grupo, os requisitos de Autenticação em Nível de Rede e a Política de Grupo efetiva.

Não use /admin como resposta a credenciais rejeitadas. Altera o tipo de sessão solicitado, não a identidade ou permissões do usuário.

5. Verifique os erros de gateway e de certificado separadamente

A autenticação do gateway, a acessibilidade do gateway, a acessibilidade do gateway ao destino e a autenticação do destino são etapas separadas. Um aviso de certificado também é um problema de identidade, não uma evidência genérica de que "o RDP está fora do ar." Confirme que o nome solicitado corresponde ao certificado e que a cadeia de emissão é confiável.

6. Remover variáveis de exibição e redirecionamento

Reteste com um monitor e redirecionamento mínimo de recursos locais. Se isso funcionar, adicione o monitor, as configurações de área de transferência, unidade, impressora e áudio de volta uma de cada vez.

Não desative NLA, validação de certificado ou criptografia como uma resposta inicial de rotina. Um guia dedicado de resolução de problemas de Remote Desktop pode levar o diagnóstico mais longe quando esses testes limitados identificam a camada com falha, mas não sua causa.

Clientes Linux, gerenciadores de conexão e alternativas ao MSTSC

Escolha uma alternativa com base no trabalho atual. Uma implementação de RDP Linux, um gerenciador de conexões Windows, publicação centralizada de aplicações e um produto de suporte remoto resolvem problemas diferentes.

Necessidade	Categoria adequada	Exemplo e limite principal
Uma conexão tradicional do Windows RDP	Cliente Windows integrado	MSTSC; específico do Windows e não um sistema de publicação
Muitos endpoints RDP do Windows salvos	Gestor de Conexão	Microsoft Sysinternals RDCMan; organiza conexões mas não cria uma arquitetura de acesso
RDP do Linux	Implementação RDP multiplataforma	FreeRDP; a sintaxe deve ser verificada em relação à versão instalada
Aplicações ou áreas de trabalho do Windows atribuídas	Entrega centralizada de acesso remoto	Um sistema de publicação de aplicações; requer implementação e autorização do lado do servidor
Controle do helpdesk do dispositivo de um usuário	Software de suporte remoto	Desenhado para fluxos de trabalho de técnicos e suporte em vez de entrega central de aplicações

Não existe uma versão Linux do mstsc.exe

mstsc.exe é um executável do Windows. FreeRDP é uma implementação RDP de código aberto, multiplataforma e mantida, e xfreerdp é um cliente Linux comum associado ao projeto.

A sintaxe do comando FreeRDP pode mudar entre versões principais. Verifique o cliente instalado. --ajuda output e a documentação atual do FreeRDP em vez de copiar um comando antigo sem verificação.

Utilize o Gestor de Conexões de Área de Trabalho Remota para muitas conexões Windows salvas

Microsoft Sysinternals posiciona o Gerenciador de Conexão de Área de Trabalho Remota ou RDCMan, como um gestor para muitas conexões de Área de Trabalho Remota. A Microsoft documentou a versão 3.22 do RDCMan em 15 de outubro de 2026.

O RDCMan suporta grupos de servidores, configurações herdadas, miniaturas, armazenamentos de credenciais e ações aplicadas a grupos de conexões. Organiza sessões RDP administrativas, mas não publica aplicações, não substitui um RD Gateway, não fornece um fluxo de trabalho de suporte remoto nem determina a segurança do caminho de acesso.

Escolha uma alternativa pelo trabalho atual

• Utilize o MSTSC para uma conexão RDP tradicional individual a partir do Windows.
• Use o RDCMan quando um administrador do Windows precisar organizar muitos pontos finais RDP.
• Use um cliente RDP mantido, como o FreeRDP no Linux.
• Utilize software de suporte remoto para controle de helpdesk assistido ou não assistido.
• Utilize um sistema de publicação de aplicações quando os utilizadores precisarem de aplicações ou desktops Windows atribuídos centralmente.

Usando MSTSC com TSplus Remote Access

TSplus Remote Access pode fornecer aplicações Windows atribuídas ou desktops completos através do Microsoft MSTSC, outro cliente compatível com RDP, um cliente gerado ou acesso via navegador. MSTSC é um dos métodos de conexão suportados, não toda a arquitetura do produto.

MSTSC pode ser um método de conexão

Com o método MSTSC documentado os utilizadores conectam-se através de uma janela padrão de Área de Trabalho Remota a recursos fornecidos pelo TSplus Remote Access. A Impressora Universal não é suportada através deste método de conexão MSTSC.

O acesso pelo navegador é uma experiência de conexão separada e requer a edição Web Mobile do TSplus Remote Access ou superior. Os clientes gerados são outra opção e podem suportar seleção de monitor documentada A compatibilidade deve ser verificada para o tipo de conexão escolhido, em vez de assumir que todas as propriedades do Microsoft RDP foram validadas com TSplus Remote Access.

Quando a publicação centralizada é mais útil do que mais arquivos .rdp

Mantenha o MSTSC quando a necessidade for um cliente RDP simples para um ponto final conhecido. Considere TSplus Acesso Remoto quando a tarefa real é publicar e atribuir aplicações ou desktops Windows de forma centralizada em vez de manter arquivos RDP isolados para cada utilizador e servidor.

Muitas implementações podem usar um servidor. As capacidades de gateway, fazenda e balanceamento de carga requerem a edição Enterprise do TSplus Remote Access, e uma fazenda é uma opção em vez de um pré-requisito. O TSplus Remote Access não é um VDI completo e não hospeda a infraestrutura do cliente.

Se os seus utilizadores precisarem de aplicações ou desktops Windows atribuídos centralmente em vez de uma coleção crescente de ficheiros RDP individuais, compare as edições e métodos de conexão do TSplus Remote Access.

A limitação do TSplus 2FA com MSTSC

Limitação do método de conexão: TSplus autenticação de dois fatores é um complemento pago que requer TSplus Remote Access Web Mobile ou Enterprise edition. Não funciona com Microsoft mstsc.exe As conexões RDP diretas são negadas para usuários habilitados para TSplus 2FA, portanto, esses usuários devem se conectar através do portal web suportado ou de um cliente gerado compatível.

A MFA deve ser uma base para acesso remoto e administrativo, mas é apenas uma camada. Deve ser combinada com correções, bloqueio, proteção contra força bruta, menor privilégio, segmentação e monitoramento.

Uma lista de verificação de segurança e licenciamento limitada

O MSTSC controla uma conexão de cliente. Seus interruptores e configurações salvas não podem garantir ou licenciar a implantação como um todo. Antes de colocar uma conexão em produção, verifique a arquitetura circundante:

• Mantenha os ouvintes RDP brutos desligados da internet pública.
• Utilize um gateway, ponto de entrada HTTPS, proxy reverso ou caminho privado protegido.
• Utilize certificados válidos para pontos de entrada na web e no gateway.
• Exigir MFA através de um método de conexão que o suporte.
• Impor o menor privilégio, bloqueio de conta e Proteção contra força bruta RDP .
• Restringir endereços IP de origem, países ou dispositivos confiáveis onde a base de usuários permitir.
• Desativar a redireção de área de transferência, unidade, impressora e dispositivo que o fluxo de trabalho não necessita.
• Patch Windows, software de acesso remoto e ferramentas de segurança.
• Utilizar TSplus Monitoramento de Servidor para monitorar sessões ativas e a saúde do servidor.
• Segmentar a rede e desativar portas e serviços não utilizados.
• Separe contas administrativas de contas de usuários do dia a dia.
• Faça backup das configurações de acesso e teste a restauração.
• Valide o Windows Server, RDS CAL, licenciamento do Office e Microsoft 365 com a Microsoft ou um parceiro de licenciamento qualificado.

MSTSC é um cliente no caminho de acesso. Um comando correto ou arquivo RDP pode estabelecer uma conexão, mas não garante que a implementação seja segura, devidamente autorizada ou corretamente licenciada.

Você pode iniciar um teste gratuito de 15 dias do TSplus Remote Access para testar a entrega de aplicações e desktops na sua própria infraestrutura Windows, depois valide a licenciamento Microsoft necessário para a sua configuração.